Ați pus adresa VPN pe lista albă și tot este blocat? Urmăriți-o

Adăugarea pe lista albă a adresei afișate de o aplicație VPN repară rareori un port blocat, iar pachetul explică de ce. Firewallul nu vă ignoră regula; evaluează o adresă sursă pe care nimic de pe ecranul clientului nu o arată. Până când destinația raportează acea valoare, fiecare modificare a regulii este o presupunere.

Începeți cu cererea care ajunge la serviciu. Adresa tunelului, adresa de ieșire și orice traducere dintre ele rămân ipoteze până când destinația confirmă una dintre ele.

Adresa din aplicație nu este cea care ajunge

O conexiune VPN poartă cel puțin patru adrese care merită numite separat: punctul final al serverului, adresa internă a tunelului atribuită clientului dumneavoastră, adresa locală Wi-Fi sau Ethernet și adresa publică pe care o vede un site după ce traficul părăsește furnizorul. Fereastra clientului poate arăta doar a doua. Numiți toate patru înainte de a numi o regulă. Cu tunel divizat, cererile către o destinație publică pot ocoli complet tunelul, așa că sesiunea care eșuează nu este cea pe care utilizatorul crede că a pornit-o.

Decideți pe care dintre cele patru regulă ar trebui să o permită, apoi verificați-o din cealaltă parte. Dacă cerința este într-adevăr o adresă de birou, condiția este ruta plus aranjamentul de ieșire al acelui site, iar o conexiune etichetată Office VPN nu oferă niciuna dintre ele de la sine.

Urmăriți o cerere până la granița ei de filtrare

Confirmați adresa de destinație și portul folosite de client, apoi verificați că această destinație urmează calea pe care o presupuneți. Un port de container publicat, un proxy invers sau o redirecționare de port pot muta decizia pe un gazdă pe care nu ați editat-o niciodată. Fiecare dintre aceste salturi poate avea propria politică. Stabilirea căii mai întâi vă scutește de a corecta o regulă pe care nu ajunge niciun pachet.

Pe un gazdă Linux autorizat, citiți regulile active în ordine înainte de a le schimba. Serviciile redirecționate și cele de container sar adesea în propria lanț, așa că inspectați ținta saltului, precum și verdictul final.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Citați în tichet numărul regulii corespunzătoare. Fără el, următorul cititor nu poate ști ce modificare a schimbat rezultatul. Un număr de regulă fără marcă de timp rămâne ambiguu.

Verificați calea cu o singură captură delimitată

O cerere inofensivă și o captură îngustă rezolvă întrebarea care revine mereu. Filtrați după portul de destinație și gazda investigată, limitați numărul de pachete și opriți captura imediat ce cererea s-a încheiat.

tcpdump -ni any 'tcp dst port 9443' -c 20

Comparați trei valori alăturate: sursa din captură, sursa pe care o numește regula corespunzătoare și respingerea pe care a înregistrat-o aplicația. Toate pot diferi, iar doar prima explică o cădere decisă de o regulă IP. Un antet HTTP redirecționat aparține stratului proxy, așa că un jurnal care citează acel antet nu descrie sursa evaluată de firewall.

Citiți ordinea lanțului, nu doar regula

Referința iptables documentează parcurgerea ordonată, de aceea o permisiune aflată sub o respingere terminală corespunzătoare nu salvează niciodată pachetul. O conexiune acceptată mai devreme se poate comporta diferit de una nouă, așa că un succes vechi nu spune nimic despre regula nouă. Găsiți respingerea sau căderea deasupra permisiunii înainte de a presupune că permisiunea este greșită. Contoarele pe regulă vă spun și care regulă a văzut pachetul.

Ștergerea unei reguli pentru a vedea ce se întâmplă este o modificare, nu o observație. Citiți contoarele, notați numărul regulii și păstrați politica originală în jurnalul modificărilor. Dacă un test este inevitabil, rulați-l pe o copie a lanțului.

Schimbați regula pe care o controlează proprietarul

Actualizați doar politica de sursă și de serviciu vizată, prin cel care o deține. O ieșire tradusă partajată poate reprezenta mulți utilizatori simultan, așa că permiterea acelei adrese nu autentifică pe nimeni, iar permisiunile aplicației din spate rămân unde sunt.

Când adresa continuă să se miște, răspunsul durabil este o ieșire stabilă sau un canal autentificat, nu o listă mai lungă de excepții. Notați sursa observată, portul de destinație și numărul regulii.